Noben operacijski sistem ni ogrožen in to ve vsak uporabnik. Med programskimi podjetji na eni strani in hekerji na drugi strani se nenehno spopadajo. Zdi se, da lahko veliko hekerjev izkoristi prednosti, zlasti ko gre za operacijski sistem Windows.

V začetku avgusta smo poročali o procesih SilentCleanup v sistemu Windows 10, ki jih lahko napadalci uporabijo, da zlonamerni programski opremi omogoči zdrs skozi vrata UAC v računalnik uporabnikov. Po zadnjih poročilih to ni edina ranljivost, ki se skriva v UAC-u Windows.

V vseh različicah operacijskega sistema Windows je bil zaznan nov obvoznik UAC s povišanimi privilegiji. Ta ranljivost izvira iz spremenljivk okolja OS in hekerjem omogoča nadzor nad nadrejenimi procesi in spreminjanje spremenljivk okolja.

Kako deluje ta nova ranljivost UAC?

Okolje je zbirka spremenljivk, ki jih uporabljajo procesi ali uporabniki. Te spremenljivke lahko nastavijo uporabniki, programi ali sam operacijski sistem Windows, njihova glavna vloga pa je, da naredijo prožne procese Windows.

Okoljski spremenljivki, ki jih določijo procesi, so na voljo temu procesu in njegovim otrokom. Okolje, ki ga ustvarijo spremenljivke procesov, je spremenljivo in obstaja le med postopkom in popolnoma izgine, ko se proces konča.

Obstaja tudi druga vrsta spremenljivk okolja, ki so prisotne v celotnem sistemu po vsakem ponovnem zagonu. Skrbniki jih lahko nastavijo v sistemskih lastnostih ali neposredno s spreminjanjem vrednosti registra pod tipko okolje.

Hekerji lahko te spremenljivke uporabijo v svojo korist. Uporabljajo lahko zlonamerno kopiranje mape C: / Windows in preizkusijo sistemske spremenljivke pri uporabi virov iz zlonamerne mape, ki jim omogočajo, da okužijo sistem z zlonamernimi DLL-ji in preprečijo, da bi jih antivirus sistema odkril. Najhuje je, da to vedenje ostane aktivno po vsakem ponovnem zagonu.

Razširitev spremenljivke okolja v operacijskem sistemu Windows omogoča napadalcu, da zbere informacije o sistemu pred napadom in na koncu prevzame popoln in vztrajen nadzor sistema v času izbire z izvajanjem enega ukaza na ravni uporabnika ali s spremembo enega registracijskega ključa.

Ta vektor omogoča tudi napadalčevo kodo v obliki DLL-ja, da se naloži v zakonite procese drugih prodajalcev ali samega operacijskega sistema in svoje maske prikrije kot ciljni postopek, ne da bi pri tem uporabil tehnike vbrizgavanja kode ali uporabo pomnilniških manipulacij.

Microsoft ne misli, da je ta ranljivost varnostna nevarnost, vendar jo bo kljub temu zakrpala v prihodnosti.